Katalog podatności CVE

Nodemailer to biblioteka do wysyłania e-maili w Node.js. W wersjach >= 9.1.0 i < 10.0.9 parser adresów (src/addressparser) błędnie obsługuje adresy, których część lokalna jest ciągiem w cudzysłowie i które są poprzedzone komentarzami RFC 5322, co pozwala na zachowanie końcowych atomów domeny oddzielonych komentarzami w znormalizowanym adresie. Na przykład wejście "user"@example.com(x)evil.com jest parsowane do wartości adresu '[email protected] evil.com', która zawiera dodatkowy tekst domeny kontrolowany przez atakującego, oddzielony spacją. Ta sparsowana wartość jest używana bez dalszej ścisłej walidacji odbiorcy podczas budowania koperty wiadomości (envelope.to w src/mime-node), więc nieprawidłowy/niejednoznaczny adres odbiorcy może zostać zaakceptowany i umieszczony w kopercie SMTP. Nie potwierdzono, czy skutkuje to dostarczeniem do niezamierzonego odbiorcy na prawdziwych serwerach SMTP. Problem jest wariantem problemu parsowania komentarzy RFC 5322 opisanego w GHSA-cc9r-2j5m-2m83, dotyczącym osobnej ścieżki kodu z cytowaną częścią lokalną. Wersja 10.0.9 zawiera poprawkę.

Adminer 5.5.1 do 6.0.1 nieprawidłowo parsuje ciąg 'server' logowania w funkcji host_port() w adminer/include/functions.inc.php. Grupa przechwytująca port wymaga czystych cyfr zakotwiczonych na końcu ciągu, więc każda wartość serwera z niedomagającym ogonem nie spełnia wyrażenia regularnego i wraca do zwrócenia całego ciągu jako hosta z pustym portem. Ponieważ ograniczenie uprzywilejowanych portów w adminer/include/auth.inc.php sprawdza tylko sparsowany port, kontrola jest pomijana, a klient mysqli/mysqlnd następnie ponownie parsuje host:port z ciągu hosta i otwiera połączenie TCP. Zdalny, nieuwierzytelniony atakujący, który może dotrzeć do strony logowania Adminer, może przesłać spreparowaną wartość, taką jak 127.0.0.1:80/x, aby serwer zainicjował połączenia TCP do dowolnych wewnętrznych hostów i uprzywilejowanych portów przed weryfikacją poświadczeń, umożliwiając SSRF i ślepe skanowanie portów wewnętrznych (odmowa połączenia vs. handshake vs. timeout działa jako wyrocznia żywotności). To regresja, która ponownie otwiera obejście naprawione w 5.5.0 (GHSA-58cq-mgw2-38m5). Naprawione w 6.0.2.

Adminer w wersjach od 6.0.0 do 6.0.1, gdy załadowany jest oficjalny plugin sterownika ClickHouse, jest podatny na podatność Server-Side Request Forgery przed uwierzytelnieniem. Nieuwierzytelniony atakujący może przesłać auth[driver]=clickhouse z auth[server] ustawionym na dowolny URL, powodując, że serwer Adminer wyśle żądanie HTTP POST zawierające 'SELECT version()' do tego hosta. W rootQuery(), jeśli cel zwróci status poza 200-299 (inny niż 401/403), surowe ciało odpowiedzi HTTP jest przypisywane do błędu połączenia i renderowane na stronie logowania, więc atakujący otrzymuje pełne ciało odpowiedzi wewnętrznej usługi. Umożliwia to rozpoznanie wewnętrznej sieci/portów i ujawnienie poufnych informacji zawartych w wewnętrznych stronach błędów. Naprawiono w Adminer 6.0.2.

Adminer 4.16.0 do 6.0.1 zawiera podatność SSRF przed uwierzytelnieniem w opcjonalnym sterowniku Elasticsearch (plugins/drivers/elastic.php), naprawioną w 6.0.2. Ponieważ adminer/include/auth.inc.php wywołuje Driver::connect() przed walidacją wyniku logowania, nieuwierzytelniony atakujący może wysłać spreparowane parametry auth[server], auth[username] i auth[password], powodując, że serwer Adminer wyśle żądanie HTTP GET do dowolnego osiągalnego hosta i portu. Sterownik nie blokuje adresów loopback, prywatnych, link-local ani innych zastrzeżonych; jeśli nie podano portu, dodaje domyślny 9200, a ogólna kontrola portów odrzuca porty poniżej 1024. Wybrane pola błędów JSON z odpowiedzi innych niż 2xx oraz błędy połączenia są renderowane na stronie logowania, co umożliwia skanowanie portów i rozpoznanie wewnętrznej sieci. Wymaga to wdrożenia opcjonalnego sterownika Elasticsearch i włączenia allow_url_fopen.

Adminer przed wersją 6.0.2 zawiera podatność cross-site scripting, gdzie wynik CONNECTION_ID() z bazy danych jest interpolowany do JavaScript bez odpowiedniego escapowania, co pozwala złośliwemu serwerowi bazy danych na wykonanie dowolnego JavaScript w uwierzytelnionym kontekście Adminer. W środowiskach współlokowanych, gdzie baza danych ma uprawnienia FILE i może zapisywać do katalogu głównego WWW, atakujący mogą użyć XSS do wysyłania uwierzytelnionych żądań SQL, które zapisują pliki PHP przez INTO DUMPFILE, osiągając zdalne wykonanie kodu jako konto serwera WWW.

Hugo, generator stron statycznych, w wersjach od v0.56.0 do v0.165.x renderuje pliki treści o typie media text/org bez escapowania surowego HTML. Bloki eksportu Org oraz fragmenty @@html:...@@ przepuszczają HTML bez escapowania, co prowadzi do cross-site scripting (XSS) w generowanej witrynie. Luka dotyczy tylko stron, których plik źródłowy lub wynik adaptera treści deklaruje typ text/org; wersja v0.166.0 naprawia problem, wprowadzając allowlistę security.allowContent, która domyślnie blokuje text/org.

Hugo w wersjach od v0.162.0 do v0.166.0 zawiera błąd walidacji z rozróżnianiem wielkości liter w regule blokowania adresów IP w security.http.urls, co pozwala atakującym obejść ograniczenia. Atakujący mogą użyć mieszanych wielkości liter w schematach URL w wywołaniach resources.GetRemote, aby pobierać dane z zastrzeżonych adresów IP, takich jak localhost.

Hugo, generator statycznych stron, w wersjach po v0.123.0 i przed v0.166.0, ma wadę w sprawdzaniu ograniczeń dowiązań symbolicznych (symlink confinement). Motyw lub moduł w themes/ (lub vendorowany moduł) może zawierać dowiązanie symboliczne w punkcie montowania (np. themes/mytheme/assets -> /some/dir/outside), co pozwala na odczyt plików spoza dozwolonych ścieżek podczas budowania strony oraz publikowanie ich do public/ przez statyczne montowania, omijając zasadę, że źródła montowania motywów i modułów muszą być lokalnymi ścieżkami.

Hugo w wersjach od 0.75.0 do 0.165.x zawiera podatność typu stored cross-site scripting: highlighter składni nie escapuje opcji lineAnchors przed przekazaniem jej do Chromy, który zapisuje wartość dosłownie w atrybutach id i href generowanego znacznika numerów linii. Spreparowana wartość lineAnchors podana jako atrybut bloku kodu Markdown (lub przekazana do funkcji szablonu highlight) skutkuje nieescapowanym HTML w renderowanej stronie, co pozwala na wykonanie dowolnego JavaScriptu w przeglądarkach odwiedzających. Luka naprawiona w 0.166.0 poprzez escapowanie HTML wartości lineAnchors przed przekazaniem do Chromy.

Hugo w wersjach od v0.161.0 do v0.165.0 uruchamia narzędzia Node.js (css.PostCSS, css.TailwindCSS, js.Babel) w modelu uprawnień Node.js, aby ograniczyć odczyt systemu plików do katalogu projektu i skonfigurowanych montowań. Ponieważ model uprawnień Node.js waliduje tylko ścieżkę leksykalną i podąża za dowiązaniami symbolicznymi wskazującymi poza dozwolony zbiór, Hugo nie wykrywał dowiązań symbolicznych wychodzących z piaskownicy. Atakujący mogący wnosić treść do projektu Hugo może zatwierdzić dowiązanie symboliczne, takie jak assets/css/x.css -> /etc/passwd, wraz z pluginem PostCSS, który je odczytuje, umożliwiając ujawnienie dowolnego pliku czytelnego przez proces budowania Hugo i potencjalne osadzenie go w opublikowanej witrynie. Dotyczy to kompilacji używających domyślnej konfiguracji bezpieczeństwa; projekty, które nie wywołują narzędzi Node.js, nie są dotknięte. Naprawiono w v0.166.0, który skanuje dozwolone ścieżki i przerywa kompilację, gdy dowiązanie symboliczne wskazuje poza nie.

GitPython przed wersją 3.1.62 nie waliduje pola path odczytywanego z niezaufanego pliku .gitmodules podczas aktualizacji submodułów. Podczas gdy wcześniejsza poprawka (GHSA-hmq2-w58f-27jc) dodała Submodule._validated_name() ograniczające pole name, a wewnętrzny mechanizm ochrony Submodule._to_relative_path() jest stosowany w add() i move(), metoda Submodule.update() wyznacza bezwzględną lokalizację checkout z surowej wartości path bez tej ochrony. Wpis .gitmodules zawierający komponenty przejścia katalogowego (np. path = ../../../tmp/escaped) może spowodować tworzenie katalogów przez os.makedirs() poza drzewem roboczym repozytorium, wypełnienie ich z URL submodułu oraz usunięcie przez shutil.rmtree() przy użyciu force_remove. Luka naprawiona w GitPython 3.1.62.

Budibase server przed wersją 3.45.0 zawiera podatność cross-tenant information disclosure w endpoincie GET /api/applications/:appId/appPackage, która pozwala uwierzytelnionym użytkownikom odczytać metadane aplikacji i kod źródłowy innego tenanta. Atakujący może podać identyfikator aplikacji ofiary, aby bez kontroli autoryzacji uzyskać wrażliwe szczegóły aplikacji, w tym strukturę nawigacji, nazwy ról, wewnętrzne adresy URL ekranów, fragmenty JavaScript i identyfikatory użytkowników.

Budibase Server przed wersją 3.45.0 nie redaguje jawnych poświadczeń źródeł danych przed rozgłaszaniem aktualizacji tabel zewnętrznych do pokoju websocket współpracy Builder. Atakujący z dostępem do Builder mogą przechwycić nieocenzurowane obiekty źródeł danych zawierające hasła do baz danych i klucze API, obserwując operacje zapisu lub usunięcia tabeli.

Budibase w wersjach przed 3.45.0 nie weryfikuje autoryzacji na poziomie aplikacji w punkcie końcowym POST /api/global/groups/:groupId/apps, umożliwiając builderom przypisywanie ról aplikacji poza granicami obszaru roboczego. Builder jednego obszaru roboczego może wykorzystać brak sprawdzania autoryzacji na poziomie aplikacji, aby przyznać sobie role administratora w innych obszarach roboczych poprzez modyfikację mapowań ról grup użytkowników.

Budibase przed wersją 3.45.0 nieprawidłowo ogranicza zakres endpointu GET /api/chat-links do workspace'u, co pozwala builderom wyliczać rekordy powiązań tożsamości czatu we wszystkich workspace'ach w tenancie. Atakujący z dostępem builder do jednego workspace'u może odczytać wrażliwe dane powiązań tożsamości czatu, w tym identyfikatory użytkowników i zewnętrzne identyfikatory usług czatu z innych workspace'ów, do których nie ma uprawnień.

Budibase w wersjach od 3.41.0 do 3.45.0 zawiera obejście uwierzytelniania w ścieżce logowania OIDC/SSO w @budibase/server. Gdy żaden istniejący użytkownik nie pasuje do przychodzącego podmiotu SSO, serwer wyszukuje oczekujące zaproszenia użytkowników wyłącznie po adresie e-mail potwierdzonym przez IdP — bez weryfikacji kodu zaproszenia i bez sprawdzenia email_verified. Atakujący mogący zarejestrować się w zaufanym IdP i podać zaproszony adres e-mail ofiary przejmuje oczekujące zaproszenie i dziedziczy wszystkie przyznane uprawnienia, w tym builder i admin.global.

Budibase (@budibase/server) przed wersją 3.45.0 buduje DDL zmiany nazwy kolumn MySQL i MSSQL w packages/backend-core/src/sql/sqlTable.ts, interpolując identyfikatory bezpośrednio do surowego zapytania bez użycia helperów quoteMySqlIdentifier / quoteSqlServerIdentifier. Atakujący z uprawnieniami DDL na podłączonym źródle danych MySQL/MSSQL może utworzyć kolumnę zawierającą backtick lub apostrof oraz dodatkowy SQL; gdy builder zmieni nazwę tej kolumny przez UI, wstrzyknięty SQL zostanie wykonany.

Budibase Server przed wersją 3.45.0 zawiera podatność na dowolny zapis plików w endpointcie przesyłania ikon PWA, który rozpakowuje dostarczone przez użytkownika archiwa ZIP bez odpowiedniej walidacji dowiązań symbolicznych. Atakujący z rolą BUILDER może stworzyć złośliwy ZIP z dowiązaniami symbolicznymi i zduplikowanymi wpisami plików, aby zapisać dowolne pliki jako root.

Budibase przed wersją 3.45.0 zawiera nieuwierzytelnioną podatność server-side request forgery i eksfiltracji poświadczeń w endpoincie webhook Microsoft Teams, który przyjmuje sfałszowane aktywności Bot Framework z dowolnymi wartościami serviceUrl. Atakujący może wysłać spreparowane żądanie POST, aby wstrzyknąć kontrolowany przez siebie serviceUrl, który jest utrwalany i używany do wszystkich kolejnych odpowiedzi bota, powodując wysyłanie aktywnych tokenów dostępu Microsoft OAuth w nagłówkach Authorization do hosta atakującego oraz umożliwiając ślepy dostęp do sieci wewnętrznej.

Budibase w wersjach przed 3.45.0 nie wyłącza rozwiązywania zewnętrznych referencji JSON w walidatorze importu OpenAPI/Swagger, co pozwala uwierzytelnionym builderom odczytywać dowolne pliki lokalne. Atakujący z dostępem builder może osadzić referencje file:// w specyfikacjach OpenAPI przesyłanych do endpointu importu, aby eksfiltrować wrażliwe pliki, w tym zmienne środowiskowe zawierające sekrety JWT, klucze API i poświadczenia baz danych.